La directive européenne NIS2 impose aux entités publiques et parapubliques concernées un renforcement substantiel de leur niveau de cybersécurité, tant sur le plan organisationnel que sur le plan humain. Si le débat public se concentre souvent sur les mesures technologiques, de nombreuses analyses, ainsi que des cas concrets récents, démontrent que la première ligne de vulnérabilité en matière de cybersécurité reste le facteur humain, notamment face aux fraudes de type Business Email Compromise (BEC) ou arnaques au paiement, qui reposent sur la manipulation, l'absence de vérification et le manque de formation des agents. Dans ce contexte, je souhaiterais connaître l'état réel d'avancement de l'implémentation de la directive NIS2 au sein de votre administration, et plus particulièrement les mesures prises en matière de sensibilisation et de formation du personnel. Les administrations publiques sont formellement identifiées comme entités soumise aux obligations de la directive NIS2, dans la catégorie "essentielle / hautement critique". 1. Votre administration ainsi que votre cabinet sont-ils bien soumis à la directive NIS2 et repris dans la catégorie "essentiel"? 2. Dès lors, quel est le niveau actuel d'implémentation de NIS2 au sein de votre administration et de votre cabinet? Pouvez-vous préciser: - l'état d'avancement global; - les principales mesures déjà mises en oeuvre; - les actions encore en cours ou planifiées? 3. Quelles mesures spécifiques ont été prises pour réduire les risques liés au facteur humain, reconnu comme un vecteur majeur de risque cyber? Notamment en ce qui concerne: - la prévention des fraudes par e-mail; - la vérification des demandes sensibles (changements de coordonnées bancaires, paiements, accès aux données). 4. Quelles formations en matière de cybersécurité ont été dispensées au personnel au cours des trois dernières années? Pouvez-vous préciser: - la nature des formations (sensibilisation générale, formations ciblées, e-learning, formations en présentiel); - les catégories de personnel concernées (agents administratifs, fonctions RH, fonctions financières, management); - leur caractère obligatoire ou facultatif; - leur fréquence? 5. Des formations spécifiques liées aux obligations et à l'esprit de la directive NIS2 sont-elles prévues ou déjà déployées? Le cas échéant, selon quel calendrier et avec quels objectifs mesurables? 6. Comment l'administration évalue-t-elle l'efficacité de ces formations et la maturité cyber de son personnel? Des audits, tests ou exercices de simulation (phishing, fraude au paiement, etc.) sont-ils organisés? 7. Pouvez-vous indiquer comment vous entendez garantir que l'implémentation de NIS2 ne se limite pas à une conformité formelle, mais se traduise par une véritable culture de cybersécurité, intégrant pleinement la dimension humaine au sein de votre administration?
B043
La directive NIS2 définit le parcours que nos administrations doivent suivre pour augmenter leur niveau de maturité et garantir ainsi la protection des données et la résilience des systèmes. Les premiers pas ont été faits avec les actions que j'ai entreprises en 2025, en particulier la création d'une cellule CISO as a service qui soutiendra de manière transversale les administrations pour renforcer la maturité des entités fédérale, harmoniser la mise en oeuvre de NIS2 mais aussi pour mutualiser les compétences. Cette cellule agira sur demande des entités. 1. Le SPF Stratégie et Appui (BOSA) et l'administration de la politique scientifique (BELSPO) sont soumis aux obligations découlant de la directive NIS2 en qualité d'entité essentielle. La Régie des Bâtiments est soumise aux obligations découlant de la directive NIS2 en qualité d'entité importante. 2. Le SPF BOSA, BELSPO et la Régie des Bâtiments visent le niveau d'assurance basic du CyberFundamentals Framework, dont l'échéance légale est fixée au 18 avril 2026. Le SPF BOSA se concentre sur les mesures-clés afin d'augmenter significativement la sécurité opérationnelle, en s'appuyant notamment sur une offre G-Cloud de security as a service. Cette approche permettra de bénéficier d'une expertise de pointe et d'une surveillance externe continue tout en maximisant l'efficience opérationnelle et en générant des économies d'échelle. BELSPO a pris différentes mesures dont une étude transversale de l'infrastructure IT de la politique scientifique intégrant également les établissements scientifiques (ESF). Cette étude réalisée par la Smals a permis d'identifier les écarts par rapport aux exigences du modèle CyberFundamentals. Un pilotage transversal de l'implémentation de NIS2 au sein des ESF a été mis en place via le réseau des correspondants NIS2 ainsi que par la création d'une structure permanente de gestion du projet IAP+. Les principales actions en cours concernent l'implémentation des mesures du projet IAP+, des actions de formation et de sensibilisation et la rédaction de procédures spécifiques. La Régie des Bâtiments a en grande partie mis en oeuvre les contrôles basic qui sont déployés depuis deux ans. L'audit de certification NIS2 Basic sera réalisé en février. 3. La prise en compte du facteur humain est essentielle dans la mise en oeuvre des mesures de sécurité. En plus des moyens technologiques déployés au niveau du G-cloud pour le filtrage des mails malveillants entrants, les procédures de travail du SPF BOSA intègrent des mécanismes anti-fraude dont l'exigence d'une authentification de l'interlocuteur pour des opérations sensibles. Une vigilance accrue est accordée à PersoPoint, responsable de l'administration du personnel fédéral et des salaires, face aux risques d'ingénierie sociale. Le SPF BOSA mène également de la sensibilisation sur le respect des procédures anti-fraude auprès de ses clients fédéraux et en particulier pour le personnel RH des clients de PersoPoint. Au sein de BELSPO, le facteur humain est abordé à travers des campagnes de sensibilisation comme une campagne de phishing qui a eu lieu au mois de décembre 2025 et la réalisation d'un plan de sensibilisation du personnel en collaboration avec le service RH qui comprend différentes actions à concrétiser dans les mois à venir. Au sein de la Régie des bâtiments, un filtrage avancé des e-mails est appliqué et les protocoles SPF, DKIM et DMARC sont mis en oeuvre. Des formations de sensibilisation en matière de phishing sont également organisées. Pour les transactions financières, le principe des "quatre yeux" est appliqué. En cas de modification des données bancaires, un contrôle supplémentaire est réalisé. 4. Plusieurs formations e-learning sont disponibles en self-service via le E-campus du SPF BOSA. Ces formations ont un caractère volontaire. Au sein du SPF BOSA, des communications générales et alertes sont également mises en place pour sensibiliser sur l'augmentation de certains phénomènes malveillants. Des formations spécifiques de sensibilisation sont également déployées pour former les collaborateurs (9 formations en 2025, 29 formations en 2024). Les collaborateurs concernés par ces formations sont principalement les fonctions IT (31 %) et d'autres fonctions spécialisées en sécurité de l'information ou en vie privée (17 %). Les formations dispensées se concentrent pour 54 % sur de la sensibilisation (proposée en e-learning), pour 31 % sur des formations spécialisées (proposées en présentiel ou hybride) et pour 15 % sur de la certification. Au sein de BELSPO, les actions de formation et de sensibilisation à la cybersécurité ont débuté en 2025 par un tour des services de la politique scientifique, par des publications régulières sur l'intranet et par la mise à disposition de matériel didactique pour l'ensemble du personnel. Un plan de formation et de sensibilisation détaillé est en cours de préparation. Celui-ci comprendra des actions par groupe cible qui se déploieront tout au long de l'année. Au sein de la Régie des Bâtiments, des formations générales de sensibilisation ont été organisées via e-learning. Des sessions de groupe ont aussi eu lieu sur le phishing, la gestion des mots de passe, la protection des données, etc. Une formation et un test ciblés sur le phishing ont également été organisés. En outre, des formations NIS2 spécifiques ont été organisées pour les collaborateurs à partir du niveau A3. Les formations s'adressent à tous les collaborateurs et sont obligatoires. Leur fréquence varie selon la formation. 5. Le SPF BOSA s'appuie sur un nouveau contrat-cadre G-cloud pour déployer une formation obligatoire pour tout son personnel à partir du deuxième trimestre 2026 et jusqu'à la fin de l'année. Il s'agit de la première phase d'un trajet de développement qui sera progressivement accompagné de renforcements spécifiques en groupes-cibles par fonctions (management, IT, etc.) et/ou par rôles dans l'organisation (gestionnaires d'actifs ou d'applications, etc.). BELSPO organise déjà des formations spécifiques sur NIS2 pour le management. D'autres formations et actions de sensibilisations sont prévues en 2026 avec le service RH selon le plan de formation qui intègrera également les indicateurs de suivi. La Régie des Bâtiments organise déjà des formations spécifiques sur NIS2 à partir du niveau A3. De surcroît, une formation et un test sur le phishing ont été organisés pour tous les collaborateurs. 6. Le SPF BOSA intègre la cybersécurité dans les objectifs de développement de son personnel afin de mesurer l'évolution de maniéré objective. La réalisation de cet objectif sera donc conditionnée à la validation de la formation et non uniquement à une condition de participation. BELSPO prévoit des audits par un organisme d'évaluation de la conformité accrédité pour le secteur public fédéral selon la loi NIS2 et son arrêté royal d'exécution. Les actions de sensibilisation sont évaluées par les indicateurs prévus par le plan de sensibilisation et les indicateurs de formation sont en cours d'élaboration. Des campagnes de phishing sont prévues en 2026. Au sein de la Régie des Bâtiments, des simulations de phishing et de spearfishing sont effectuées. Des tests en ligne, des audits externes et des rapports sont également réalisés. 7. Au sein du SPF BOSA, l'année 2026 a amorcé une campagne de communication interne "BOSA renforce sa sécurité de l'information en 2026" pour accompagner les mesures techniques avec des séances d'informations, de la documentation et une approche étape par étape en mettant l'accent sur l'importance de la coopération du personnel et sa place essentielle pour une bonne sécurité de l'information. Cette campagne visera notamment à démontrer l'importance d'une prise en compte de la sécurité au travers de tous les processus permettant de délivrer des services aux citoyens, aux entreprises et aux administrations. Au sein de BELSPO, la dimension humaine est également très importante. La politique scientifique est attentive à cet aspect et c'est la raison pour laquelle l'implémentation des mesures est coordonnée par une personne qui a été recrutée en 2025 spécifiquement pour faire le lien entre les services concernés et les établissements scientifiques. La Régie des Bâtiments garantie la mise en oeuvre de la NIS2 grâce à une communication continue, des formations et un soutien au leadership. La sensibilisation est donc constante. Des key performance indicators sont également mis en place concernant la sensibilisation et les résultats des tests de phishing.